杀毒软件、EDR、MDR 的区别：企业该买哪一个

简短回答：杀毒软件（反恶意软件）在恶意文件和行为运行之前尽量拦下。EDR（终端检测与响应）记录每台设备上发生的事，让人能发现、调查并遏制攻击。MDR（Managed Detection and Response，管理型检测与响应）是 EDR 加上一支盯着告警并采取行动的团队。关键不是“哪个最强”，而是“凌晨两点谁来看告警，他被允许做什么”。

本文写给要选终端防护的企业主和 IT 经理。读完后，你可以用同一组要点比较三者，按风险和人手套用五条选择规则，并核对现有方案实际做了什么。

三种方案逐项对比

每个方案用相同的要点、相同的顺序。

杀毒软件和反恶意软件

• 做什么：扫描文件、监控设备上的行为，拦截已知和可疑的恶意软件。现代产品还加入云端查询和行为监控，不只是特征库。
• 记录什么：主要是检测和拦截结果，并不设计成给出设备上发生过什么的完整历史。
• 谁盯告警：不需要专人。它自动处理，你看报告。
• 响应方式：对检测到的内容自动隔离或清除。
• 内部所需技能：低。保持开启、保持更新、不被关闭。
• 短板：攻击者使用正常工具或被盗凭据时，可能不触发检测，事后也几乎没有证据可查。

Windows 自带 Microsoft Defender Antivirus。微软文档说明，它使用机器学习和云端防护，即使威胁已开始运行，也能依据行为阻止（对照 Microsoft Learn 核对，2026 年 10 月 28 日）。

EDR（终端检测与响应）

• 做什么：上面的杀毒能力可以作为底层，EDR 再加上持续收集设备活动、把相关事件归并成事件单的告警，以及响应动作。
• 记录什么：进程、网络、登录、注册表和文件活动。对 Microsoft Defender for Endpoint，微软说明遥测数据保存六个月，分析人员可以回溯到攻击开始的时刻（对照 Microsoft Learn 核对，2026 年 10 月 28 日）。微软还说明，检测并不是要记录终端上的每一项操作。
• 谁盯告警：你自己必须有人。要有人读事件并做决定。
• 响应方式：手动或自动动作，例如把设备从网络隔离、运行扫描、阻止某个文件。
• 内部所需技能：中到高。研判需要经验。
• 短板：夜里没人看的告警，只是攻击的记录，不是防护。

MDR（管理型检测与响应）

• 做什么：服务商的分析师全天候监控 EDR（通常还有其他）告警，调查，然后亲自响应或明确告诉你怎么做。
• 记录什么：与底层工具相同的遥测，加上服务商的调查记录和报告。
• 谁盯告警：服务商团队。你的团队接收升级通知。
• 响应方式：取决于合同。有的服务商会自行执行遏制动作，有的只给建议。要写进书面协议。
• 内部所需技能：低到中。仍需要有人批准动作并做业务决定。
• 短板：MDR 不等于完整入侵事件的应急响应。微软自己的 Defender Experts MDR 文档说明，它不是应急响应服务（对照 Microsoft Learn 核对，2026 年 10 月 28 日）。关于 MDR 与 MSP、MSSP 合同的区别，见 MSSP、MSP 与 MDR 的区别。

XDR 是同样的思路延伸到终端之外，把邮件、身份和云端信号与设备信号关联起来。比较产品时它很重要，但上面“杀毒、EDR、MDR”的划分仍然适用。

微软自家方案包含什么

以下事实已于 2026 年 10 月 28 日对照 Microsoft Learn 核对。方案名称和套餐会变，购买前请在自己的租户里确认。

• Microsoft Defender for Endpoint Plan 1 包含下一代防护（杀毒和反恶意软件）、攻击面减少，以及一组有限的手动响应动作（据微软 EDR 概述）：运行杀毒扫描、隔离设备、停止并隔离文件、添加阻止或允许文件的指示器。可单独订阅，也包含在 Microsoft 365 E3 中。
• Microsoft Defender for Business 面向最多 300 名用户的企业，包含在 Microsoft 365 Business Premium 中。微软自己的对比表为它列出了 EDR（优化版）、自动调查和修复，以及自动攻击中断，而 Plan 1 没有这些。请核对授权：如果你持有 Business Premium，可能已经拥有 EDR。
• Microsoft Defender for Endpoint Plan 2 是以前直接称为 Defender for Endpoint 的方案，也是完整的 EDR 方案。微软的 EDR 概述页面对 Plan 1 和 Defender for Business 只列出手动响应动作，而 Defender for Business 页面则为 Business 列出了 EDR（优化版）。核对授权包含什么时，请以对比页面为准。
• Microsoft Defender Experts MDR 是单独的管理型服务，微软说明它与其他 Defender 产品分开销售。Plan 1 覆盖你的 Microsoft Defender 工作负载；Plan 2 通过 Microsoft Sentinel 增加选定的非微软遥测，并要求至少 1,500 个授权席位。

价格请看微软官方价格页，这里不引用。我们自己的终端安全服务如何计价，见安全服务价格。

五条选择规则

1. 人人都要杀毒加攻击面减少。这是基线。确保它开启、更新、集中汇报，并且用户关不掉。
2. 只有在每天都有人能在一天内读告警时，才买 EDR。如果没有这个人，单买 EDR 只是留证据，不是防护。改选 MDR，或者暂时不买 EDR。
3. 持有敏感数据，或无法容忍停工好几天，又没有安全人员随时待命，就选 MDR。很多小企业就是这种情况，因为攻击者不会按办公时间行动。了解全天候监控包含什么，见我们的安全运营中心服务。
4. 有安全或资深 IT 人员能轮值、也有时间调优告警，就用 EDR 自己做。轮值人手紧张时，夜间和周末再加上 MDR。
5. 工具要匹配设备组合。服务器、Mac 和移动设备也要在范围内。问清厂商哪些平台有检测，哪些只有杀毒。

还有两个因素会让决定再升一级：远程办公的人数，以及客户或保险方是否要求你说明检测和响应能力。某家保险方或客户会接受什么，我们无法替他们回答。请向对方要来要求的原文，再对照上面的能力。

购买前要问的问题

1. 哪些设备和操作系统有检测，哪些只有杀毒？
2. 遥测数据保存多久？
3. 夜里通知谁，多长时间内通知？
4. 服务商不打电话给你，就能执行哪些响应动作（例如隔离设备）？
5. 设备连不上互联网时，工具怎么运作？
6. 排查故障时如何关闭它，关闭时谁会收到告警？
7. 如果我们终止服务，数据和告警记录怎么处理？

常见错误

• 买了 EDR 却没人响应。告警越积越多。解决：购买之前先定好响应负责人和时间。
• 一台设备上让两个安全产品同时处于主动模式。它们互相干扰。Microsoft Defender Antivirus 只有在已接入 Defender for Endpoint 的设备上，才能与其他产品并存并以被动模式运行。解决：每台设备只选一个主杀毒产品。
• 以为 MDR 包含完整的应急响应。解决：书面问清服务商在遏制阶段做什么，哪些要另外收费。
• 漏掉服务器和个人使用的设备。攻击者专挑防护最薄的地方。解决：列出所有设备类型，再确认覆盖。
• 以为已含授权就等于已开启。解决：看控制台里的设备状态，而不是授权清单。
• 因为某个应用卡顿就关闭防护，然后忘了。解决：用范围明确的排除项，记录下来，每季度复核。

怎样验证做对了

1. 在 Windows 设备上打开 PowerShell，运行下面的命令。按微软文档，Normal 表示 Microsoft Defender Antivirus 是主动的杀毒软件，Passive mode 表示另一个产品是主产品，EDR Block Mode 表示已启用 EDR 阻止模式。

Get-MpComputerStatus | Select-Object AMRunningMode

1. 在 Microsoft Defender 门户确认你预期的设备都在列表中，已接入，并且最近有汇报。
2. 在一台测试设备上，从设备页面执行“隔离设备（Isolate device）”，确认机器断网，然后解除。记录每一步花了多长时间。
3. 请服务商（或你自己的团队）给你看最近一条已研判的告警：谁处理的，用了多久。
4. 确认已启用篡改防护（tamper protection），使用户或恶意软件不能悄悄关闭防护。

常见问题

终端安全的三大类型是什么？

没有统一的官方分类。一种实用的分法是：预防（杀毒、反恶意软件、攻击面减少）、检测与响应（EDR）、管理型响应（MDR，由服务商团队盯守并行动）。多数企业先做第一类，再按风险和人手加上其他两类。

Microsoft Defender 是 EDR 吗？

Microsoft Defender Antivirus 是杀毒软件。按微软的对比，EDR 能力属于 Microsoft Defender for Endpoint Plan 2 和 Defender for Business。Plan 1 只有手动响应动作。请确认你的授权包含哪一个。

EDR 的例子有哪些？

Microsoft Defender for Endpoint Plan 2 就是一个例子。它收集设备遥测，把告警归并成事件，让分析人员调查并执行隔离设备等响应动作。

Symantec 有 EDR 吗？

产品名称和版本会变，答案取决于你持有的具体 Symantec 版本和授权。请用上面的购买前问题：书面问清厂商提供哪些响应动作、遥测保存多久、谁盯告警。

杀毒软件和 EDR 有什么区别？

杀毒软件主要自动拦截它认得的威胁。EDR 记录设备活动，给人提供调查和响应的手段，但需要有人去用。

如果你要的是终端防护背后的人员和流程，而不只是一个工具，请了解我们的终端安全防护服务。